CVE-2026-105392
Lybbn Django-Vue-Lyadmin JWT Signing settings.py hard-coded key
CVSS 3.1Medium
6.9/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Вручную переопределите SECRET_KEY в backend/application/settings.py или через переменные окружения перед развертыванием приложения.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В Lybbn Django-Vue-Lyadmin обнаружен захардкоженный криптографический ключ подписи JWT. Уязвимость позволяет удаленному атакующему генерировать валидные токены.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В файле backend/application/settings.py вплоть до версии 3.2.12 по умолчанию прописан статический параметр SECRET_KEY для компонента JWT Signing. Публичный эксплойт уже доступен в открытых источниках.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Подделка JWT-токенов, обход аутентификации и полный захват учетных записей пользователей или администраторов в веб-приложении.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-105392: Lybbn Django-Vue-Lyadmin JWT Signing settings.py hard-coded key. URL: https://cve.futuretools.ru/cve/CVE-2026-105392
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_105392,
title = {{CVE-2026-105392: Lybbn Django-Vue-Lyadmin JWT Signing settings.py hard-coded key}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-105392}},
note = {Оперативный инженерный анализ киберугроз}
}